Points clés
- La question « qui pilote la réponse ? » doit être répondue avant l'incident — pas découverte dans le chaos des premières heures.
- La réponse à un incident majeur nécessite une coordination entre technique, métier, communication et direction — avec une autorité clairement désignée.
- Le responsable de la réponse n'est pas nécessairement le plus compétent techniquement — il doit être capable de décider, de coordonner et de communiquer sous pression.
- Les rôles et responsabilités de la réponse à incident doivent être formalisés, connus, et testés régulièrement.
La confusion des rôles : principal facteur d'échec
Dans la majorité des incidents mal gérés, la confusion des rôles figure parmi les causes premières. Qui prend la décision d'isoler les systèmes ? Qui autorise le paiement d'une rançon ? Qui valide la communication vers les autorités ? Qui s'adresse aux médias ? Quand ces questions se posent dans le feu de l'action, sans réponse préétablie, les délais s'accumulent, les décisions sont contradictoires, et les tensions entre équipes s'amplifient. La clarification des rôles en amont est l'une des mesures préventives les plus simples et les plus efficaces.
La structure de commandement de crise
Une réponse à incident efficace repose sur une structure de commandement à plusieurs niveaux. Au niveau opérationnel : les équipes techniques qui conduisent l'investigation, le confinement et la remédiation. Au niveau de coordination : un responsable de la réponse qui coordonne les différentes équipes, prend les décisions opérationnelles et escalade les décisions stratégiques. Au niveau exécutif : la direction qui prend les décisions à fort impact — paiement de rançon, notification publique, arrêt de services. Ces niveaux doivent être définis et connus de tous.
Qui doit être le responsable de la réponse ?
Le responsable de la réponse à incident (ou Incident Commander) n'est pas nécessairement le RSSI ou le DSI. Pour les incidents d'ampleur significative, ce rôle peut être tenu par un directeur opérationnel, un directeur des risques, ou un membre de la direction générale capable de coordonner des fonctions multiples sous pression. Ce qui prime, c'est la capacité à décider avec une information partielle, à coordonner des équipes aux expertises différentes, et à maintenir une communication cohérente vers l'intérieur et l'extérieur.
Intégrer les fonctions non techniques dans la réponse
La réponse à un incident cyber d'ampleur significative doit intégrer des fonctions qui dépassent le périmètre technique. La direction juridique gère les obligations de notification et les risques de responsabilité. La direction de la communication gère les communications internes et externes. Les ressources humaines gèrent les aspects liés aux collaborateurs. La direction financière gère les impacts budgétaires et l'assurance. Ces fonctions doivent être intégrées dans la structure de réponse dès la conception du plan, pas appelées en urgence le jour de l'incident.
Tester la structure de commandement
La structure de commandement de crise n'a de valeur que si elle est testée. Les exercices doivent inclure des scénarios qui mettent en jeu des décisions difficiles : quand escalader au niveau exécutif, comment coordonner des équipes distantes, comment gérer des communications contradictoires. Ces exercices révèlent les zones de friction dans la structure et permettent de les corriger avant qu'un incident réel ne les expose.